Executive Summary
Placée au début du rapport et limitée à une page, cette synthèse de haut niveau est destinée à la direction.
Mobile Application Security Testing (MAST)
Analyse des applications mobiles pour iOS et Android
Mobile Application Security Testing (MAST)
The Mobile Application Security Testing is an Application Security Assessment service proposed by ISGroup for the iOS and Android platforms. It is adapted according to the programming language used for the development of native apps (Objective-C, Swift, Java, Kotlin) or apps built with hybrid frameworks (such as React, React Native, Cordova, Xamarin, Titanium Appcelerator, Ionic, PhoneGap).
There are many companies that have invested in mobile applications but there is often little attention to security because the vulnerabilities and the related possibilities of attack by a malicious user are less known.
The ISGroup team is constantly updated on the latest developments in Mobile Security, both from the attacker's and the developer's point of view, in order to provide the best possible analysis service for its customers.
Through the use of manual techniques and advanced tools, the tester is able to perform static and runtime analysis of the application, in order to bypass any limitations or any implemented business logic.
The mobile applications are by their nature also subjected to client-side vulnerabilities related to the interaction of the application with the operating system and the underlying device. For example, the application may not check if the phone or tablet is jailbroken or rooted, or if it stores sensitive or important data in an unsafe manner.
Finally the auditor takes care of the verification related to the interactions between the application and the remote server, which may be subjected to vulnerabilities similar to those affecting web applications (Authentication and Authorization checks, SQL Injection).
Description
Le Mobile Application Security Testing simule une attaque contre une application téléchargée depuis les stores officiels (App Store et Play Store) ou distribuée autrement pour un usage interne.
The test can be carried out in Grey Box or Black Box mode.
In the first case the tester analyzes the application code that the customer provided in order to fully identify the vulnerabilities that could otherwise be hidden by code obfuscation. Then he continues with the client-side runtime analysis of the application and the interactions with the server-side services exposed.
In the case of the black box analysis, the tester finds himself in the situation of an attacker who analyzes the application downloaded from the store, like a normal user.
Since the client application code is on the device, the tester tries to reverse engineer it and attempts to verify the presence and strenght of any countermeasures implemented to prevent theft of intellectual property and the knowledge of any security mechanisms that could then be bypassed this way.
Subsequently is verified the possibility of application manipulation during its execution. Finally all the parameters identified in the requests are tested, both manually and by the use of tools.
Depending on the type of application and on the level of access obtained, the tester will try to modify the application flow and to manipulate and exploit the data saved locally and on the remote server.
Le Rapport
Vous recevez un document clair et détaillé, divisé en trois parties.
Vulnerability Details
La partie technique décrit en détail les vulnérabilités détectées et leur impact et s'adresse au responsable de la sécurité.
Remediation Plan
Section technique contenant des instructions précises pour corriger les problèmes identifiés, destinée aux développeurs.
Combien ça coûte
À partir de 5 000 € HT
Pour une seule app. Le prix augmente avec les plateformes à tester (iOS, Android), les rôles et les parcours de l'app, les API et services backend ainsi que la criticité des données traitées.
Prouvez votre engagement
À la fin du Mobile Application Security Testing, vous recevez un document signé, en italien et en anglais, qui indique l'activité, la période et le périmètre. Contrairement au rapport, il ne contient ni vulnérabilités ni détails techniques : vous pouvez le remettre à quiconque le demande sans vous exposer. Il est inclus dans le service.
Attestation d'exécution
IT / EN
- Client
- Activité
- Période
- Périmètre
ISGroup
Mobile Application Security Testing
et conformité
PCI DSS
Identifie les faiblesses des logiciels mobiles gérant des paiements ou données de carte et soutient les pratiques de développement sécurisé de PCI DSS 6.2.4.
NIS2
Évalue l'efficacité des mesures de cybersécurité sur les apps, données locales et communications backend, conformément à NIS2 art. 21.2.f.
DORA
Teste les apps mobiles et services backend des services financiers et documente les résultats pour le programme prévu par DORA art. 24-25.
RGPD
Examine les apps, le stockage local et les communications serveur traitant des données personnelles et produit des résultats techniques à l'appui du RGPD art. 32.1.d.
ISO/IEC 27001
Identifie les vulnérabilités de l'app, du stockage et des interactions backend et documente les corrections à l'appui de la mesure A.8.8 ISO/IEC 27001:2022.
OWASP MASVS
Vérifie stockage, cryptographie, authentification, réseau, plateforme, code, résilience et confidentialité selon les groupes de contrôle OWASP MASVS.
Questions fréquentes sur le
Mobile Application Security Testing
Qu'est-ce que le Mobile Application Security Testing (MAST) et que vérifie-t-il ?
Le Mobile Application Security Testing simule un attaquant qui cible une app iOS ou Android, publiée sur les stores ou distribuée en interne. Les spécialistes d'ISGroup combinent des vérifications manuelles et des outils d'appui pour analyser le comportement de l'app sur l'appareil, les données qu'elle stocke localement et ses communications avec le serveur. Nos références techniques sont OWASP MASVS et MASTG.
Quelle est la différence entre un test Black Box et Grey Box ?
Dans un test Black Box, le testeur part de l'app téléchargée sur le store, comme le ferait n'importe quel utilisateur. Dans un test Grey Box, le client fournit le code source et, lorsque c'est convenu, de la documentation ou des identifiants : l'analyse du code précède les vérifications à l'exécution côté client et des interactions avec les services serveur.
Que devons-nous fournir pour lancer le test ?
Il nous faut l'app à analyser, via le store ou la distribution interne, et un périmètre défini, y compris les plateformes et les services backend concernés.
Le MAST est-il un scan automatique de l'app ?
Non. Le MAST est une activité manuelle appuyée par des outils et comprend la vérification des faux positifs. Un scan automatique est un service différent : si c'est ce qu'il vous faut, consultez le scan Ostorlab pour apps mobiles.
Le test couvre-t-il aussi les API et le backend utilisés par l'app ?
ISGroup analyse les requêtes échangées entre l'app et le serveur, où peuvent apparaître des vulnérabilités semblables à celles des applications web, comme des défauts d'authentification ou d'autorisation et des injections SQL. Si vous devez aussi tester le portail ou d'autres applications web liées, envisagez un Web Application Penetration Test.
Que reçoit-on à la fin du Mobile Application Security Testing ?
Vous recevez un rapport en trois parties : un Executive Summary d'une page pour la direction, les Vulnerability Details avec les vulnérabilités et leur impact pour le Security Manager, et un Remediation Plan avec les instructions de correction pour les développeurs. L'attestation d'exécution signée, en italien et en anglais, est également incluse : vous pouvez la partager sans divulguer de vulnérabilités.
Le retest des vulnérabilités est-il inclus ?
Le retest vérifie à nouveau les vulnérabilités signalées après les corrections de votre équipe et indique pour chacune si elle est entièrement corrigée, partiellement corrigée, non corrigée ou non testable. Il est optionnel pour les projets à 5 000 € et inclus dans les projets d'un montant supérieur.
Combien coûte un MAST ?
Un Mobile Application Security Testing coûte à partir de 5 000 € HT pour une seule app. Le prix augmente avec les plateformes à tester, les rôles et les parcours de l'app, les API et services backend ainsi que la criticité des données traitées.
Donnez forme à vos priorités de sécurité avec une proposition sur mesure